Zoom ha lanzado parches para corregir cuatro nuevas vulnerabilidades de seguridad que permitirían a un participante malintencionado ejecutar código de forma remota en el ordenador de otro asistente. Estas fallas son especialmente peligrosas ya que no requieren clics, descargas ni muestran señales de advertencia. La vulnerabilidad más grave, identificada como CVE-2026-53413, ha sido apodada "Zoomsday" por el equipo de investigación A Security.

Zoom ha lanzado parches para cuatro fallos de seguridad recién revelados que podrían permitir que un participante malicioso de una reunión ejecute código de forma remota en el ordenador de otro asistente, sin necesidad de clics, descargas ni señales de advertencia.

El más grave de los errores, identificado como CVE-2026-53413, ha sido apodado "Zoomsday" por A Security, el equipo de investigación acreditado con su descubrimiento, y cuenta con una calificación de severidad "alta" por parte del propio equipo de Confianza y Seguridad de Zoom.

El fallo reside en la función de anotación de Zoom, la herramienta que permite a los participantes de la reunión dibujar, resaltar o añadir texto mientras se comparte una pantalla. Esa función se basa en un protocolo propietario que abre un canal de comunicación directo entre quien comparte su pantalla y quien la visualiza.

Los investigadores descubrieron que la rutina responsable de analizar los datos de formato de anotación de texto, llamada CAnnoFormatBlock::Deserialize, contiene varios búferes de tamaño fijo de 128 bytes, pero confía ciegamente en los recuentos de caracteres de 32 bits enviados a través de la red.

Debido a que el cliente nunca valida que los datos entrantes encajen realmente dentro de esos búferes, un atacante puede transmitir un mensaje manipulado de tamaño excesivo que desborda el búfer y corrompe la memoria adyacente, secuestrando finalmente el flujo de control del programa para ejecutar código arbitrario.

Un investigador de A Security demostró el exploit en macOS utilizándolo para lanzar silenciosamente el navegador Safari en la máquina de una víctima, demostrando que la ejecución completa de código es posible sin interacción del usuario y sin ningún signo visible de compromiso, ya que el atacante solo necesita unirse o anfitrionar una reunión y dirigirse a cualquier participante individualmente.

Junto con el CVE-2026-53413, Zoom reveló tres problemas relacionados en el mismo ciclo de boletines. El CVE-2026-53414, calificado con severidad media, es un error de sobrelectura de búfer en los clientes de Zoom que puede filtrar contenidos de la memoria.

El CVE-2026-53415 es una vulnerabilidad de uso después de la liberación (use-after-free), también calificada como alta, que puede provocar la corrupción de la memoria y la posible ejecución de código si un atacante provoca el acceso a la memoria liberada.

El CVE-2026-53416 afecta al Cliente de Infraestructura de Escritorio Virtual (VDI) de Zoom y se deriva de una debilidad de salto de ruta (path traversal), calificada como alta, que podría exponer archivos sensibles al permitir que un atacante manipule rutas de archivos fuera de los directorios previstos. Zoom realiza el seguimiento de estos bajo los boletines ZSB-26015 a ZSB-26018, todos publicados y actualizados el 11 de agosto de 2026.

Zoom afirma que los errores relacionados con las anotaciones afectan a sus clientes en todas las plataformas compatibles, mientras que el problema de salto de ruta es específico de los despliegues de VDI.

Las correcciones ya están disponibles: las versiones 7.1.5 y 7.0.6 de Zoom Workplace, Zoom Rooms 7.1.5 y Meeting SDK 7.1.5 resuelven los fallos de anotación, mientras que las versiones 7.0.11 y 6.6.16 del Cliente Workplace VDI, junto con las versiones 7.0.11 y 6.6.15 del Plugin VDI, parchean el error de salto de ruta.

Zoom no ha informado de pruebas de explotación activa en el entorno real, y actualmente no circula ningún exploit público de prueba de concepto. Aun así, tanto los equipos de seguridad como tú, como usuario cotidiano, deberíais tratar esto como una prioridad urgente de parcheo, ya que el fallo de anotación requiere cero interacción de la víctima y no deja rastro visual del compromiso.

Las organizaciones que gestionan despliegues centralizados de Zoom deberían implementar paquetes de instalación actualizados inmediatamente en lugar de confiar en que los usuarios actualicen manualmente, para evitar que versiones vulnerables vuelvan a aparecer silenciosamente en el siguiente ciclo de instalación.

Fuentes:
https://cybersecuritynews.com/zoom-zero-click-vulnerabilities/